.jpg)
.jpg)
시행까지 60여일... 페이스북 EU지사도 DPO 못 찾아
보안GRC리더스포럼, 시급한 과제로 DPO 선임 지적
[보안뉴스 오다인 기자] 유럽 일반 개인정보보호법(EU GDPR: European Union General Data Protection Regulation)의 시행이 두 달 앞으로 다가온 가운데 정보보호 산·학·연 전문가들이 국내 기업의 준비 현황과 과제를 짚어보는 시간을 가졌다.
보안GRC리더스포럼은 22일 서울 송파구 IT벤처타워 한국정보보호산업협회(KISIA) 회의실에서 GDPR의 주요 이슈를 검토하고 GDPR 시대 우리 기업의 대응전략에 대해 토론했다. 이날 발제는 개인정보보호 연구에 주력해온 이화여자대학교 채상미 교수(경영학·빅데이터분석학)가 진행했다.
GDPR은 2018년 5월 25일부터 시행되는 유럽연합(EU)의 개인정보보호법이다. 1995년 EU의 ‘데이터보호지침(Data Protection Directive)’을 대체하는 것으로, EU 28개국 시민 또는 거주자의 개인정보 수집 및 처리에 대한 공통된 보호 기준을 의무화한 규정이다. 이를 위반하는 기업은 총 수익의 4%를 최대 벌금으로 물게 되고, EU 지역을 대상으로 사업하는 국내 기업들도 예외는 아니다.
이화여대 채상미 교수는 GDPR의 주요 이슈로 △DPO(Data Protection Officer, 정보보호담당관) 선임 △개인정보에 대한 범위 문제 △설계 및 기본값에 의한 정보보호(Data prtection by design and by default) △잊힐 권리를 포함한 정보주체에 대한 자기 결정권 강화 △침해 사고 시 대응 방법 △국가별 적정성 평가 등을 지적했다.
특히, 채 교수는 GDPR 제37조에 규정된 DPO 선임과 관련해 “(EU에서 사업하는 기업 중에) 개인정보 처리를 바탕으로 핵심 비즈니스를 하는 기업의 경우 반드시 DPO를 고용해야 한다”며 “현재 우리나라에 없는 포지션이기 때문에 준비를 서둘러야 한다”고 촉구했다. 그는 “페이스북 EU지사도 아직까지 적합한 DPO를 찾지 못했다”면서 “EU의 법률체계를 꿰뚫고 있지 않으면 DPO로 활동하기 어려울 것”이라고 말했다.
DPO 임명 요건은 1) 공공기관에 해당하는 경우 2) 기업 및 단체의 핵심활동이 정보주체의 활동을 대규모로 모니터링 하는 경우 3) 기업 및 단체의 핵심 활동이 민감정보나 범죄정보의 대규모 처리에 관여된 경우라고 채 교수는 밝혔다.
“DPO와 정보보호최고책임자(CISO)의 차이가 무엇이냐”는 질문에 채 교수는 “CISO는 기술적 측면이 강조되는 반면, DPO는 법률적 지식이 강조된 직책”이라고 설명했다. DPO는 EU당국과 직접 소통해야 하므로 영어 구사가 가능해야 할 뿐더러 개인정보 처리 구조를 이해하면서 기술 및 법률적 지식도 갖춘 사람이어야 한다고 덧붙였다.
한편, 보안GRC리더스포럼은 융합보안 분야 산·학·연 전문가들이 보안 현안을 공유하고 상호간 이해 촉진을 통해 보안의 학술 및 실무적 발전과 건전한 사회 형성에 기여하기 위해 설립된 단체다. 보안의 관리적 이슈인 거버넌스(Governance), 위험관리(Risk Management), 컴플라이언스(Compliance)를 중점적으로 탐구하며 관련 정부 정책과 기업 경영의 효율성을 제고하는 데 목적을 둔다. 중앙대학교 산업보안 특성화대학 사업단, 충북대학교 정보보호 특성화대학 지원사업단, 한국정보보호학회 GRC연구회, 한국정보보호산업협회 서비스전문위원회가 공동으로 참여하고 있다.
[오다인 기자(boan2@boannews.com)]
보안GRC리더스포럼, 시급한 과제로 DPO 선임 지적
[보안뉴스 오다인 기자] 유럽 일반 개인정보보호법(EU GDPR: European Union General Data Protection Regulation)의 시행이 두 달 앞으로 다가온 가운데 정보보호 산·학·연 전문가들이 국내 기업의 준비 현황과 과제를 짚어보는 시간을 가졌다.
▲이화여대 채상미 교수가 보안GRC리더스포럼의 발제를 진행하고 있다[사진=보안뉴스]
보안GRC리더스포럼은 22일 서울 송파구 IT벤처타워 한국정보보호산업협회(KISIA) 회의실에서 GDPR의 주요 이슈를 검토하고 GDPR 시대 우리 기업의 대응전략에 대해 토론했다. 이날 발제는 개인정보보호 연구에 주력해온 이화여자대학교 채상미 교수(경영학·빅데이터분석학)가 진행했다.
GDPR은 2018년 5월 25일부터 시행되는 유럽연합(EU)의 개인정보보호법이다. 1995년 EU의 ‘데이터보호지침(Data Protection Directive)’을 대체하는 것으로, EU 28개국 시민 또는 거주자의 개인정보 수집 및 처리에 대한 공통된 보호 기준을 의무화한 규정이다. 이를 위반하는 기업은 총 수익의 4%를 최대 벌금으로 물게 되고, EU 지역을 대상으로 사업하는 국내 기업들도 예외는 아니다.
이화여대 채상미 교수는 GDPR의 주요 이슈로 △DPO(Data Protection Officer, 정보보호담당관) 선임 △개인정보에 대한 범위 문제 △설계 및 기본값에 의한 정보보호(Data prtection by design and by default) △잊힐 권리를 포함한 정보주체에 대한 자기 결정권 강화 △침해 사고 시 대응 방법 △국가별 적정성 평가 등을 지적했다.
▲보안GRC리더스포럼 참석자들이 GDPR에 대해 토론하고 있다[사진=보안뉴스]
특히, 채 교수는 GDPR 제37조에 규정된 DPO 선임과 관련해 “(EU에서 사업하는 기업 중에) 개인정보 처리를 바탕으로 핵심 비즈니스를 하는 기업의 경우 반드시 DPO를 고용해야 한다”며 “현재 우리나라에 없는 포지션이기 때문에 준비를 서둘러야 한다”고 촉구했다. 그는 “페이스북 EU지사도 아직까지 적합한 DPO를 찾지 못했다”면서 “EU의 법률체계를 꿰뚫고 있지 않으면 DPO로 활동하기 어려울 것”이라고 말했다.
DPO 임명 요건은 1) 공공기관에 해당하는 경우 2) 기업 및 단체의 핵심활동이 정보주체의 활동을 대규모로 모니터링 하는 경우 3) 기업 및 단체의 핵심 활동이 민감정보나 범죄정보의 대규모 처리에 관여된 경우라고 채 교수는 밝혔다.
“DPO와 정보보호최고책임자(CISO)의 차이가 무엇이냐”는 질문에 채 교수는 “CISO는 기술적 측면이 강조되는 반면, DPO는 법률적 지식이 강조된 직책”이라고 설명했다. DPO는 EU당국과 직접 소통해야 하므로 영어 구사가 가능해야 할 뿐더러 개인정보 처리 구조를 이해하면서 기술 및 법률적 지식도 갖춘 사람이어야 한다고 덧붙였다.
한편, 보안GRC리더스포럼은 융합보안 분야 산·학·연 전문가들이 보안 현안을 공유하고 상호간 이해 촉진을 통해 보안의 학술 및 실무적 발전과 건전한 사회 형성에 기여하기 위해 설립된 단체다. 보안의 관리적 이슈인 거버넌스(Governance), 위험관리(Risk Management), 컴플라이언스(Compliance)를 중점적으로 탐구하며 관련 정부 정책과 기업 경영의 효율성을 제고하는 데 목적을 둔다. 중앙대학교 산업보안 특성화대학 사업단, 충북대학교 정보보호 특성화대학 지원사업단, 한국정보보호학회 GRC연구회, 한국정보보호산업협회 서비스전문위원회가 공동으로 참여하고 있다.
[오다인 기자(boan2@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
오다인기자 기사보기
[2024-11-25] 
.jpg)
.jpg)
.jpg)
.jpg)
.jpg)
